Enerji sektöründe tedarikçi siber güvenliği
Enerji şirketlerinde OT ve BT sistemlerine bakım, destek ve yazılım sağlayan tedarikçiler kritik bir saldırı yüzeyidir. Tedarikçi erişimlerini ve kontrollerini kanıta dayalı olarak değerlendiriyoruz.
Enerji sektöründe üretim, iletim ve dağıtım sistemleri; otomasyon üreticileri, entegratörler ve bakım firmaları gibi tedarikçilere bağımlıdır. Bu tedarikçilerin uzaktan erişimleri ve sağladıkları yazılımlar, OT ortamına doğrudan risk taşıyabilir. Tedarikçi güvenliği, EPDK’nın siber güvenlik yetkinlik modeline yönelik çalışmalarda da ele alınması gereken bir alandır.
OT tedarikçileri neden ayrı bir risk alanıdır?
Endüstriyel kontrol sistemlerinde tedarikçiler çoğu zaman sistemleri kuran, güncelleyen ve uzaktan destek veren taraftır. Bu erişimler kesintiye tahammülü olmayan sistemlere doğrudan bağlanır. Yetersiz kontrol edilen bir uzaktan bağlantı veya güncellenmeyen bir mühendislik istasyonu, kurumun kendi güvenlik yatırımlarını etkisiz kılabilir.
Sektördeki şirketlerin siber güvenlik yetkinlik modeli kapsamındaki öz değerlendirme ve iyileştirme çalışmalarında tedarikçi ve üçüncü taraf erişimlerinin ele alınması bu nedenle önemlidir.
Enerji tedarikçilerinde öncelikli kontroller
Uzaktan erişim yönetimi
Onaylı, kayıtlı, süreli ve çok faktörlü tedarikçi bağlantıları.
Yazılım ve yama güvenliği
Tedarik edilen yazılımların bütünlüğü ve güncelleme süreçleri.
Taşınabilir medya
Sahaya getirilen dizüstü bilgisayar ve USB cihazların kontrolü.
Ağ ayrımı
Tedarikçi erişimlerinin OT ağına kontrollü geçiş noktalarından yapılması.
Olay bildirimi
Tedarikçi kaynaklı olayların zamanında bildirilmesi ve müdahale.
Sözleşme ve denetim
Güvenlik gereklilikleri ve denetim hakkının sözleşmede yer alması.
Enerji şirketleri için tedarikçi güvenliği çalışması
Envanter
OT ve BT tedarikçileri ile eriştikleri tesis ve sistemler listelenir.
Kritiklik
Tedarikçiler operasyonel etki ve erişim türüne göre sınıflandırılır.
Değerlendirme
Kademeye uygun soru seti ve kanıt talebi uygulanır.
Denetim
Kritik tedarikçilerde online ve yerinde denetim yürütülür.
İyileştirme
Bulgular yetkinlik modeli çalışmalarıyla uyumlu aksiyon planına dönüştürülür.
Enerji sektöründe tedarikçi güvenliği hakkında sık sorulanlar
OT tedarikçilerinin uzaktan erişimi nasıl kontrol edilmeli?
Erişimler kişiye özel hesaplarla, çok faktörlü doğrulamayla, yalnızca ihtiyaç anında açılan ve kayıt altına alınan bağlantılarla ve OT ağına kontrollü geçiş noktaları üzerinden sağlanmalıdır.
Tedarikçi güvenliği EPDK yetkinlik modeli çalışmalarıyla ilişkili midir?
Evet. Üçüncü taraf ve tedarikçi erişimleri, siber güvenlik yetkinlik modeli kapsamındaki öz değerlendirme ve iyileştirme çalışmalarında ele alınması gereken alanlar arasındadır.
Hangi tedarikçiler önceliklidir?
Kontrol sistemlerine uzaktan veya yerinde erişen otomasyon, entegrasyon ve bakım tedarikçileri ile kritik yazılım sağlayıcıları önceliklidir.
Secure Fors OT tarafında deneyimli mi?
Ekibimiz enerji sektörü ve OT/ICS güvenliği alanında saha deneyimine sahiptir; tedarikçi değerlendirmelerinde OT’ye özgü riskleri ayrıca ele alır.
Bu sayfa genel bilgilendirme amaçlıdır; şirketinize özgü yükümlülükler için EPDK’nın yürürlükteki düzenlemeleri esas alınmalıdır.
OT tedarikçi erişimlerinizi birlikte değerlendirelim.
Kritik tedarikçilerinizi ve öncelikli kontrolleri kısa bir ön görüşmede belirleyelim.